【基礎編】：【第4回】監視・検知・対応フローの基本

はじめに

SOCアナリストの仕事は「ただアラートを見ること」ではありません。
実際には、監視 → 検知 → 分析 → 対応 → 報告 という一連のフローを繰り返すことで、組織をサイバー攻撃から守っています。
この記事では、その基本的な流れを整理して解説します。

---

1. 監視（Monitoring）

• 目的：セキュリティイベントをリアルタイムで把握
• 方法：
  • SIEMに集約されたログを常時モニタリング
  • ダッシュボードやアラート通知を確認
  • 定期的なレポートをチェック

例：
「深夜に海外IPから大量のログイン試行があった」 → アラート発生

---

2. 検知（Detection）

• 目的：異常なイベントをいち早く見つける
• 手法：
  • シグネチャ検知（既知の攻撃パターン）
  • 行動分析（ユーザーの普段と違うアクセスを検知）
  • 脅威インテリジェンスとの突合

例：
「通常は日本からログインしているが、同時刻に海外からも成功ログインがある」 → なりすまし疑い

---

3. 分析（Analysis）

• 目的：誤検知か真のインシデントかを判断する
• 確認ポイント：
  • 関連ログの突き合わせ（VPN、AD、EDR）
  • IOC（IP、ドメイン、ファイルハッシュ）の確認
  • MITRE ATT&CKで攻撃手法を特定

例：
「海外からのアクセスはVPN経由ではなく、異常なユーザーエージェントだった」 → 不正アクセスの可能性が高い

---

4. 対応（Response）

• 目的：被害を最小化する
• 初動対応の例：
  • 感染端末を隔離
  • アカウントを無効化／パスワードリセット
  • FWやプロキシで攻撃元IPをブロック
• 二次対応の例：
  • 被害範囲の調査
  • 恒久対策（パッチ適用、ルール改善、MFA導入）

---

5. 報告（Reporting）

• 目的：関係者と情報を共有し、再発防止につなげる
• 内容：
  • 発生したインシデントの概要
  • 原因と影響範囲
  • 対応内容と今後の対策
  • 改善提案

例：
「不正アクセスは1アカウントに限定、被害なし。MFAを必須化することで再発防止を図る。」

---

まとめ

SOCの基本フローは以下の通りです。

1. 監視：イベントを常時モニタリング
2. 検知：異常や攻撃の兆候を捉える
3. 分析：誤検知か本物かを判断
4. 対応：即時の封じ込めと恒久対策
5. 報告：関係者共有と改善

この流れを理解することが、SOCアナリストの第一歩です。